煤層氣自動(dòng)化網(wǎng)絡(luò)安全性分析

霸振（華北油田山西煤層氣分公司，山西 晉城 048000）

煤層氣自動(dòng)化網(wǎng)絡(luò)安全性分析

霸振（華北油田山西煤層氣分公司，山西 晉城 048000）

隨著智慧煤層氣田建設(shè)推進(jìn)，煤層氣行業(yè)的管理和控制網(wǎng)絡(luò)更加深入融合，平臺(tái)也愈加開放，進(jìn)而為外界病毒入侵生產(chǎn)控制系統(tǒng)提供了便利，給企業(yè)平穩(wěn)生產(chǎn)運(yùn)營帶來重大安全隱患。為保障基于企業(yè)網(wǎng)絡(luò)業(yè)務(wù)的持續(xù)性、穩(wěn)定性，我們需要在管理和控制網(wǎng)絡(luò)采取相應(yīng)的安全防護(hù)措施，建立有針對性的安全防護(hù)體系。

工業(yè)控制系統(tǒng);網(wǎng)絡(luò)安全;病毒入侵;煤層氣;自動(dòng)化

近日全球多個(gè)國家和地區(qū)的機(jī)構(gòu)及個(gè)人電腦遭受到了一款新型勒索軟件攻擊，并于5月12日國內(nèi)率先發(fā)布緊急預(yù)警，外媒和多家安全公司將該病毒命名為“WanaCrypt0r”（直譯：“想哭勒索蠕蟲”），常規(guī)的勒索病毒是一種趨利明顯的惡意程序，它會(huì)使用加密算法加密受害者電腦內(nèi)的重要文件，向受害者勒索贖金，除非受害者交出勒索贖金，否則加密文件無法被恢復(fù)，而新的“想哭勒索蠕蟲”尤其致命，它利用了竊取自美國國家安全局的黑客工具EternalBlue（直譯：“永恒之藍(lán)”）實(shí)現(xiàn)了全球范圍內(nèi)的快速傳播，在短時(shí)間內(nèi)造成了巨大損失。

該病毒主要針對微軟公司全系列操作系統(tǒng),如：Win?dowsXP、 Windows7、 Windows8、 WindowsServer2008、 Win?dowsServer2003、WindowsVista和已關(guān)閉自動(dòng)更新的win10用戶；其會(huì)使帶有下列擴(kuò)展名的文件受到不同程度的破壞,如：.lay6、.sqlite3、 sqlitedb、.accdb、.java、.class、.mpeg、.djvu、.tiff、.backup、.vmdk、.sldm、.sldx、.potm、.potx、.ppam、.ppsx、.ppsm.pptm、.xltm、.xltx、.xlsb、.xlsm、.dotx、.dotm.docm、.docb、.jpeg、.onetoc2、.vsdx、.pptx、.xlsx.docx；并通過像445端口這樣的文件共享和網(wǎng)絡(luò)打印機(jī)共享端口的漏洞展開傳播攻擊。作為油田企業(yè)，我們公司的多臺(tái)辦公電腦受到該病毒的攻擊，很多珍貴文件遭到了的破壞；令人更加毛骨悚然的是，我們自動(dòng)化工控網(wǎng)絡(luò)距離病毒入侵也僅是咫尺之遙，因?yàn)槲覀兊淖钥叵到y(tǒng)使用的均是微軟操作系統(tǒng)，服務(wù)器、工程師站、操作員站包含大量數(shù)據(jù)庫類型文件、java開發(fā)文件和Office辦公文件，而這些文件均在被攻擊類型之列。

1 煤層氣自動(dòng)化控制網(wǎng)絡(luò)建設(shè)

煤層氣自控系統(tǒng)以煤層氣公司的中心控制室為一級單元，集氣站的各個(gè)值班室為二級單元，以氣井、集氣站各個(gè)檢控點(diǎn)為三級單元，構(gòu)成一個(gè)三級SCADA自動(dòng)化監(jiān)控管理系統(tǒng)，包含了中央處理廠的DCS系統(tǒng)、FGS系統(tǒng)、SIS系統(tǒng)和視頻監(jiān)控等子系統(tǒng)，實(shí)現(xiàn)數(shù)據(jù)的自動(dòng)采集和設(shè)備設(shè)施的遠(yuǎn)程控制，完成整個(gè)煤層氣生產(chǎn)過程的集中調(diào)度；通過數(shù)據(jù)的存儲(chǔ)和網(wǎng)絡(luò)共享管理，實(shí)現(xiàn)后期的智能分析和決策應(yīng)用。

煤層氣田的SCADA自動(dòng)化監(jiān)控管理系統(tǒng)結(jié)構(gòu)圖如下：

圖1.1 SCADA監(jiān)控系統(tǒng)設(shè)計(jì)圖

其中煤層氣田通信網(wǎng)絡(luò)呈星型結(jié)構(gòu)。氣井至集氣站之間的采用無線網(wǎng)絡(luò)通信；各集氣站至中央處理廠使用光纜進(jìn)行傳輸；中央處理廠至?xí)x城總部之間以及晉城至任丘，通過租用地方電路進(jìn)行通信，其租用帶寬可按生產(chǎn)及辦公需要確定。

煤層氣田通信系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)圖如下：

圖1.2 通訊拓?fù)鋱D

而目前由煤層氣事業(yè)部研發(fā)推廣使用的總控平臺(tái)，已經(jīng)將自動(dòng)化控制系統(tǒng)和ERP、A2、A5等系統(tǒng)進(jìn)行的有機(jī)整合，實(shí)現(xiàn)了數(shù)據(jù)共享，并提供了手持?jǐn)?shù)據(jù)終端接口和手機(jī)APP應(yīng)用，方便用戶的信息掌握和移動(dòng)辦公。當(dāng)人們在享受這一切所帶來的方便快捷的同時(shí)，不得不冷靜的思考一個(gè)問題：我們的網(wǎng)絡(luò)安全嗎？回答是否定的。

2 煤層氣自動(dòng)化控制網(wǎng)絡(luò)安全風(fēng)險(xiǎn)

目前煤層氣自動(dòng)化控制網(wǎng)絡(luò)的安全風(fēng)險(xiǎn)大致可以分為三大類：物理風(fēng)險(xiǎn)、管理風(fēng)險(xiǎn)和意識(shí)風(fēng)險(xiǎn)。

其中物理風(fēng)險(xiǎn)主要包括：（1）光纜、通信基站、通信機(jī)房的人為及物理破壞會(huì)使得整個(gè)通信網(wǎng)絡(luò)出現(xiàn)故障，造成數(shù)據(jù)通訊中斷；（2）對于自控閥門、儀器儀表的內(nèi)部電流脈沖等的沖擊會(huì)突破機(jī)柜接線端子的隔離柵保護(hù)影響機(jī)柜和自控網(wǎng)絡(luò)；（3）病毒會(huì)通過手機(jī)APP等互聯(lián)網(wǎng)應(yīng)用入侵自控網(wǎng)絡(luò)；（4）共享接口會(huì)成為局域網(wǎng)內(nèi)部病毒入侵的有利渠道；（5）大量使用的Win?dows操作系統(tǒng)的弱安全性會(huì)成為黑客攻擊的主要目標(biāo)。

管理風(fēng)險(xiǎn)主要包括：（1）辦公網(wǎng)和自控網(wǎng)的雙網(wǎng)融合，為病毒之間相互傳播提供的可能；（2）個(gè)人電腦和監(jiān)控電腦的登陸密鑰過于簡單，易于被攻破，尤以單井和集氣站的監(jiān)控電腦為例，為了方便記憶選擇使用簡單的相同密碼，存在非常大的安全隱患；（3）辦公電腦和監(jiān)控電腦的USB插孔的隨意使用，很容易通過移動(dòng)設(shè)備植入病毒；（4）為維持正常的生產(chǎn)運(yùn)行，自控網(wǎng)絡(luò)往往長時(shí)間不間斷運(yùn)營，缺少必要的維護(hù)與升級；（5）存在與西氣東輸和地方政府的數(shù)據(jù)接入通訊，增加外方病毒和黑客入侵攻擊的可能。

意識(shí)風(fēng)險(xiǎn)主要是指人們在認(rèn)識(shí)和知識(shí)面上存在差距，使得企業(yè)對控制類系統(tǒng)的安全存在認(rèn)識(shí)上的誤區(qū)：一是認(rèn)為企業(yè)網(wǎng)與互聯(lián)網(wǎng)之間已經(jīng)安裝了專業(yè)防火墻，控制網(wǎng)絡(luò)是安全的；二是認(rèn)為控制系統(tǒng)沒有直接連接互聯(lián)網(wǎng)，控制系統(tǒng)是安全的；三是認(rèn)為黑客或病毒不懂控制系統(tǒng)。而實(shí)際情況是，盡管在企業(yè)網(wǎng)內(nèi)部安裝了功能較完備的網(wǎng)絡(luò)安全防護(hù)產(chǎn)品，施行了各類網(wǎng)絡(luò)安全技術(shù)，建立了信息安全管理體系，但控制系統(tǒng)的安全問題卻越來越嚴(yán)峻，主要原因是對許多控制網(wǎng)沒有有效的隔離手段，而企業(yè)推廣應(yīng)用的一些安全產(chǎn)品又不能直接安裝到這些系統(tǒng)上去。目前，針對企業(yè)控制網(wǎng)絡(luò)的安全事件存在以下共同點(diǎn)：

a.“軟”目標(biāo)。大多數(shù)DCS系統(tǒng)中的計(jì)算機(jī)，很少或沒有機(jī)會(huì)安裝全天候的病毒防護(hù)和更新版本，同時(shí)控制器的設(shè)計(jì)都以實(shí)時(shí)的I∕O功用為主，并不提供加強(qiáng)的網(wǎng)絡(luò)連接防護(hù)功能。

b.多個(gè)網(wǎng)絡(luò)端口切入點(diǎn)。在多個(gè)網(wǎng)絡(luò)安全事件中，事由都源于對多個(gè)網(wǎng)絡(luò)端口進(jìn)入點(diǎn)疏于防護(hù)，而且控制系統(tǒng)維護(hù)人員（非IT人員）在維護(hù)與維修過程中的監(jiān)管也不到位。

c.疏漏的網(wǎng)絡(luò)分割設(shè)計(jì)。許多控制網(wǎng)絡(luò)都是“敞開的”，不同子系統(tǒng)之間都沒有有效的隔離，尤其是基于OPC以及MOD?BUS等通訊的工業(yè)控制網(wǎng)絡(luò)。

3 煤層氣自動(dòng)化控制網(wǎng)絡(luò)有效降低安全風(fēng)險(xiǎn)的措施建議

針對煤層氣自動(dòng)化控制網(wǎng)絡(luò)存在上述的諸多安全風(fēng)險(xiǎn)，從確保工控網(wǎng)安全平穩(wěn)運(yùn)行角度出發(fā)，建議應(yīng)從如下方面做好工作：

（1）斷開工業(yè)控制系統(tǒng)同公共網(wǎng)絡(luò)之間的所有不必要連接。

（2）對確實(shí)需要的連接，系統(tǒng)運(yùn)營單位要逐一進(jìn)行登記，采取設(shè)置防火墻、單向隔離等措施加以防護(hù)，并定期進(jìn)行風(fēng)險(xiǎn)評估，不斷完善防范措施。

（3）嚴(yán)格控制在工業(yè)控制系統(tǒng)和公共網(wǎng)絡(luò)之間交叉使用移動(dòng)存儲(chǔ)介質(zhì)以及便攜式計(jì)算機(jī)。

（4）采取虛擬專用網(wǎng)絡(luò)（VPN）、線路冗余備份、數(shù)據(jù)加密等措施，加強(qiáng)對關(guān)鍵工業(yè)控制系統(tǒng)遠(yuǎn)程通信的保護(hù)。

（5）對無線組網(wǎng)采取嚴(yán)格的身份認(rèn)證、安全監(jiān)測等防護(hù)措施，防止經(jīng)無線網(wǎng)絡(luò)進(jìn)行惡意入侵，尤其要防止通過侵入遠(yuǎn)程終端單元（RTU）和手持終端進(jìn)而控制部分或整個(gè)工業(yè)控制系統(tǒng)。

（6）建立控制服務(wù)器等工業(yè)控制系統(tǒng)關(guān)鍵設(shè)備安全配置和審計(jì)制度。

（7）嚴(yán)格賬戶管理，根據(jù)工作需要合理分類設(shè)置賬戶權(quán)限。

（8）嚴(yán)格口令管理，及時(shí)更改產(chǎn)品安裝時(shí)的預(yù)設(shè)口令，杜絕弱口令、空口令。

（9）定期對賬戶、口令、端口、服務(wù)等進(jìn)行檢查，及時(shí)清理不必要的用戶和管理員賬戶，停止無用的后臺(tái)程序和進(jìn)程，關(guān)閉無關(guān)的端口和服務(wù)，對于某些共享端口要謹(jǐn)慎使用。

（10）密切關(guān)注產(chǎn)品漏洞和補(bǔ)丁發(fā)布，嚴(yán)格軟件升級、補(bǔ)丁安裝管理，嚴(yán)防病毒、木馬等惡意代碼侵入。關(guān)鍵工業(yè)控制系統(tǒng)軟件升級、補(bǔ)丁安裝前要請專業(yè)技術(shù)機(jī)構(gòu)進(jìn)行安全評估和驗(yàn)證。

（11）對于涉密數(shù)據(jù)以及其他重要敏感數(shù)據(jù)的采集、傳輸、存儲(chǔ)、利用等，要采取訪問權(quán)限控制、數(shù)據(jù)加密、安全審計(jì)、災(zāi)難備份等措施加以保護(hù)，切實(shí)維護(hù)個(gè)人權(quán)益、企業(yè)利益和國家信息資源安全。

（12）完善管理制度，加強(qiáng)人才培養(yǎng)，推進(jìn)素質(zhì)提升，多管齊下保證辦公網(wǎng)和工控網(wǎng)的雙網(wǎng)安全。

4 結(jié)語

在推進(jìn)智慧油氣田建設(shè)的背景前提下，我們一方面要關(guān)注信息資源的共享共建，加速“互聯(lián)網(wǎng)+煤層氣”業(yè)務(wù)實(shí)施，另一方面還要切實(shí)做好工業(yè)控制網(wǎng)絡(luò)的安全評價(jià)和有效防控，真正讓煤層氣勘探開發(fā)和生產(chǎn)運(yùn)行控制在智慧、安全的環(huán)境中進(jìn)行。

[1]韓曉波.企業(yè)工業(yè)控制網(wǎng)絡(luò)安全技術(shù)探討及實(shí)現(xiàn)[J].化工自動(dòng)化及儀表，2012（4）.

[2]程光江潔欣.信息與網(wǎng)絡(luò)安全[M].北京：清華大學(xué)出版社，2008：10～18.